PHP

Cryptage d'un mot de passe puis comparaison

Recherche :

Mot : Pseudo : Filtrer
Bas de page
Auteur	Sujet : Cryptage d'un mot de passe puis comparaison

limp15000

www.geneva-racing.ch

Bonjour,
J'ai actuellement un formulaire de login qui fonctionne bien, mais les mots de passe sont stocker en clair dans ma base MySQL, et maintenant que je vais utiliser plus sérieusement ma petite application, je souhaite la sécuriser un peu mieux.
J'ai fait pas mal de recherche sur le web pour essayer de trouver quelque chose d'intéressant, mais pour l'instant c'est pas très fructueux.
Je précise que le mot de passe peut être changer depuis la base de donnée seulement. Je ne souhaite pas faire de formulaire pour changer le mot de passe, ni pour créer des utilisateurs.
Est-ce que quelqu'un peut me conseiller?
Voici ma page de login actuelle.

Code :

<?
/*
---------------------------------------------------------
Module : Login form
Auteur : Thomas
---------------------------------------------------------
*/
/*
-------------------------
On appelle les librairies
-------------------------
*/
include('lib/connection.lib.php');
include('lib/erreur.lib.php');
if($QUERY_STRING =='logout')
{
session_unset();
//destruction de session
session_destroy();
//redirection vers page d'accueil
unset($_POST['send']);
}
if(isset($_POST['send']))
{
$login = $_POST['login'];
$pwd = $_POST['pwd'];
$requete = "select * from `te_utilisateur` where `utillog`='$login'";
$envoi = mysql_query($requete)
or die($errReq);
$tableau = mysql_fetch_array($envoi);
// on stock le contenu de l'enregistrement dans plusieurs variables
$id = $tableau['utilnum'];
$login = $tableau['utillog'];
$pwd_valide = $tableau['utilmdp'];
$type = $tableau['utiltyp'];
$nom = $tableau['utilnom'];
mysql_close();
if (isset($_POST['login']) && isset($_POST['pwd']))
{
if (isset($pwd) && isset($pwd_valide) && $pwd == $pwd_valide)
{
$_SESSION['login'] = $_POST['login'];
$_SESSION['pwd'] = $_POST['pwd'];
$_SESSION['accessvar']= 'true';
$_SESSION['utilnum']=$id;
$_SESSION['utilnom']=$nom;
?><script type="text/javascript">
document.location.replace("?menupropal" );
</script>
<?
}
else {echo $errLogin;
}
}
}
?>
<form name="form" action="?login" method="post">
<fieldset>
<label>Votre login :</label><input type="hidden" name="send" value="1">
<input type="text" name="login"><SCRIPT>document.form.login.focus();</SCRIPT><br />
<label>Votre mot de passe :</label><input type="password" name="pwd"><br />
</fieldset>
<fieldset>
<p align="center"><input name="submit" type="submit" value="Connexion"></p>
</fieldset>
</form>

Publicité

zapan666

Tout est relatif

tu chiffre les mots de passe de ta base, puis tu les compares au mot de passe de l'utilisateur, que tu aura chiffre.

Code :

if($mot_de_passe_base_donnees == sha1($mot_de_passe_utilisateur)) {
// tout roule
}

http://uk2.php.net/manual/en/function.sha1.php
http://uk2.php.net/manual/en/function.md5.php

---------------
my flick r - Just Tab it !

Woutcha

Avant de te preocuper de tes mdp en base de donnee, tu devrais plutot faire un filtrage des valeurs que tu utilises pour ta requete ($login = $_POST['login']; ). Va faire un tour sur la doc php et cherche 'mysql_real_escape_string'.

Sinon 2-3 trucs en passant:

- Pour tester la methode sur ta page, utilise '$_SERVER['REQUEST_METHOD']' plutot qu'un champ cache ('send')
- Pour faire des redirections, utilise php (header()) plutot que js
- Tu utilises des valeurs dans ta requete et tu testes leurs existance (isset()) apres les avoir utilisees
- ...

Sinon pour eviter de stocker les mdp en clair, zapan666 a tout dit.

Message édité par Woutcha le 19-05-2006 à 14:51:51

Djebel1

Nul professionnel

un petit ajout à ce qu'a dit zapan666.
Pour sécuriser un peu plus les mdp dans ta base, tu peux rajouter un "grain de sel" à ton mdp :
http://matthieu.developpez.com/authentification/#L2.2

Ceci permet de se prémunir contre les dictionnaires.

limp15000

www.geneva-racing.ch

Merci à tous, je vais regarder toutes ces solutions, je vous tiens au courant de mon avancement...

dwogsi

Défaillance cérébrale...

Salut,
je n'ai pas très bien compris le principe du "grain de sel", je vois bien comment "brouiller" le hash du mdp mais comment ensuite vérifier qu'un mot de passe saisi par un utilisateur est correcte?

Y-a-t-il plus de doc à ce sujet quelque part sur Internet?
Je demande, parce qu'il est difficil de trouver de la doc avec google en n'ayant que les termes "grain de sel" comme point de départ. Merci d'avance!

Message cité 1 fois

naceroth

dwogsi a écrit :

Comme le grain de sel est stocké en clair dans la db, c'est pas vraiment un problème, il suffit de le récupérer et de le coller au mot de passe proposé puis de faire le hash et de le comparer avec le hash dans la db (tout ça en une fois normalement), genre

Code :

select id from membres where login='$nom' and pass=md5($mdp+grain_sel)

Message cité 1 fois

gatsu35

Blablaté par Harko

naceroth a écrit :

Code :

select id from membres where login='$nom' and pass=md5($mdp+grain_sel)

sql injection [:dawak]

dwogsi

Défaillance cérébrale...

Ok je vois, donc en fait on stock une infos en plus par personne, un nombre.

gatsu35

Blablaté par Harko

nan tu le stocke pas, il est en dur quelque part dans un fichier en tant que variable

et c'est le MD5 du MDP qui est stocké

dis donc dwogsi tu me décois là

Message cité 1 fois

Publicité

dwogsi

Défaillance cérébrale...

lol ba désolé mais cette histoire de grain de sel me perturbe et j'ai pas les idée très claires aujourd'hui (histoire d'alcool et de samedi soir...). Désolé.

naceroth

gatsu35 a écrit :

nan tu le stocke pas, il est en dur quelque part dans un fichier en tant que variable

Oui, bien sûr, tout le monde avec le même, c'est sûr que ça va compliquer la création des dictionnaires. Pas du tout en fait, le grain de sel est bien stocké dans la db, quel intérêt de vouloir "sécuriser" un mdp en lui ajoutant une valeur fixe, tu m'expliques ?

Message cité 2 fois

dwogsi

Défaillance cérébrale...

ouai mais en même temps si quelqu'un peut se procurer les hash des mdp, ils doit bien pouvoir se procurer aussi se qui se trouve à côté, le grain de sel entre autres. Alors le mieux serait à mon gout de ne pas le stocker dans la db!

naceroth

L'idée n'est pas tant de le rendre impossible que de le rendre difficile à mettre en oeuvre.

En partant du principe que tu connais le hash et le gds, tu peux créer le dico. Avec la solution du gds unique : 1 dico = tous les mdp vulnérables dans ta base. Avec l'autre : 1 dico nécessaire par mdp. Lequel te semble le plus sûr ?

dwogsi

Défaillance cérébrale...

Il est vrai que ça rend les choses bien plus complexes.
Le mieux serait encore de stocker le grain de sel ailleur que dans la DB.

gatsu35

Blablaté par Harko

naceroth a écrit :

Imagine que parmis les gens qui ont créé un compte sur ton site, yen a un assez débile pour utiliser le mot de passe "chien"

ben c'est assez facile de le cracker avec un dictionnaire non ?

donc la méthode consiste à lui rajouter une bien belle phrase toute pourrave :
"chien"+"%^('(fsz" = chien%^('(fsz
et tu fais le MD5 de ça
et là tu peux être sur que le dictionnaire l'aura dans le cul

Message cité 1 fois

naceroth

gatsu35 a écrit :

Imagine que parmis les gens qui ont créé un compte sur ton site, yen a un assez débile pour utiliser le mot de passe "chien"

ben c'est assez facile de le cracker avec un dictionnaire non ?

Ou comment répondre à côté de la question. Ma question ne concernait pas l'intérêt du gds (que j'ai détaillé à Dwogsi après le post de Djebel1) mais de celui d'un gds unique. Parce que tu as beau dire, si on peut cracker facilement chien avec un dico, on peut aussi cracker facilement chien%^('(fsz. Et sur de multiples mdp "protégés" en déduire que ton gds vaut %^('(fsz, ce qui ne rend pas vraiment ton mdp plus sûr.

Woutcha

naceroth a écrit :

Je confirme, le gds est stocke dans la DB et il faut generer 1 gds par utilisateur, sinon ca n'a aucun sens/interet...

Djebel1

Nul professionnel

>Le mieux serait encore de stocker le grain de sel ailleur que dans la DB

non mais le grain de sel tu pourrais l'afficher à côté du nom de chaque utilisateur ça serait pas un pbl :
- la constitution d'un dictionnaire est fastidieuse et longue, et est forcément faite bien avant une attaque
- Pour cracker les mdp de votre base, le hacker devra constitué un dictionnaire pour chaque utilisateur, ce qui est complètement inenvisageable actuellement
- stockez le en clair dans la bdd. Le grain de sel n'a pas besoin d'être crypté (et ne doit pas l'être). Le hacker peut le connaitre, ça l'empechera pas de devoir se créer un dictionnaire.

Message édité par Djebel1 le 21-05-2006 à 18:57:54

limp15000

www.geneva-racing.ch

Bonjour,
J'ai réussi à crypter mes mots de passe... Ca fonctionne impéccable, et je vais regarder les autres remarques que vous m'avez fait. En revanche je vois pas où mettre le mysql_escape_string.

Code :

$requete = "select * from `te_utilisateur` where `utillog`='mysql_escape_string($login)";

Mais ça marche pas... Peut être que j'ai pas compris l'utilisation de la fonction.

zapan666

Tout est relatif

[:pingouino]
Tu ne peux pas lancer une fonction, pouf, comme ca, dans une chaine de catactere. C'est pas la fete non plus hein

Code :

$login_sql = mysql_escape_string($login);
$requete = "select * from `te_utilisateur` where `utillog`='".$login_sql."'";

Message édité par zapan666 le 22-05-2006 à 11:11:12

---------------
my flick r - Just Tab it !

jagstang

Pa Capona ಠ_ಠ

où est la sécurité puisque le mot de passe est envoyé en clair du client au serveur, puis haché ?

Message cité 1 fois

Woutcha

jagstang a écrit :

où est la sécurité puisque le mot de passe est envoyé en clair du client au serveur, puis haché ?

Hasher le mot de passe pour le stocker dans la base de donnee ne repond pas au problem de securite que tu evoques (une personne qui "sniff" le reseau intercepte le mot de pass lors de son envoie au serveur).

La technique de hashage permet juste d'eviter que si quelqu'un arrive a acceder a la base de donnee, il ne puisse voir les mots de passe de tous les utilisateurs en clair (technique pouvant etre amelioree par l'utilisation d'un "gds" ou "salt" en anglais).

Pour repondre au pb que tu evoques, le plus simple est sans doute de mettre en place une connexion en SSL.

Message édité par Woutcha le 22-05-2006 à 15:27:31

limp15000

www.geneva-racing.ch

Je précise que tout est crypté en 128 bits... Le serveur n'accepte que les connections en SSL....

Publicité

FORUM HardWare.fr

Programmation

PHP

Cryptage d'un mot de passe puis comparaison

Sujets relatifs
Effet de loupe quand le curseur passe sur l'img	[aide sentimentale]Comment cracker un mot de passe ?
comparaison de date en php/mysql	[PHP/MySQL] access denied, mais ca passe enligne de commande
Comparaison string avec un caractère ..... [REGLE]	Corps de mail qui ne passe pas
Où est passé xemacs.org?	[résolu]Probléme de comparaison de checkbox
Cryptage XOR d'une chaine : pbm de caractères NULL
Plus de sujets relatifs à : Cryptage d'un mot de passe puis comparaison

Page générée en 0.122 secondes